Collecter les journaux d'activité Duo

Ce document explique comment exporter les journaux d'activité Duo et les ingérer dans Google Security Operations en déployant le script d'ingestion écrit en Python en tant que fonction Cloud Run, et comment les champs de journaux sont mappés aux champs du modèle de données unifié (UDM) Google SecOps.

Pour en savoir plus, consultez Présentation de l'ingestion de données dans Google SecOps.

Un déploiement type se compose de l'activité Duo et du script d'ingestion déployé en tant que fonctions Cloud Run pour envoyer les journaux à Google SecOps. Chaque déploiement client peut être différent et plus complexe.

Le déploiement contient les composants suivants :

• Activité Duo : plate-forme à partir de laquelle vous collectez les journaux.

• Cloud Run Functions : script d'ingestion déployé en tant que Cloud Run Functions pour extraire les journaux de l'activité Duo et les ingérer dans Google SecOps.

• Google SecOps : conserve et analyse les journaux.

Remarque : Une étiquette d'ingestion identifie l'analyseur qui normalise les données de journaux brutes au format UDM structuré. Les informations de ce document s'appliquent au parseur avec le libellé d'ingestion DUO_ACTIVITY.

Avant de commencer

• Assurez-vous d'avoir accès au panneau d'administration Duo.
• Assurez-vous d'utiliser la version 2 ou une version ultérieure de l'API Duo Admin.

Configurer l'activité Duo

1. Connectez-vous au panneau d'administration Duo en tant qu'administrateur. Pour en savoir plus, consultez Présentation du panneau d'administration Duo Administration.
2. Cliquez sur Applications > Protéger une application.
3. Dans la liste des applications, cliquez sur API Admin > Protect (Protéger) pour obtenir votre clé d'intégration, votre clé secrète et le nom d'hôte de l'API.
4. Sélectionnez les autorisations requises que vous souhaitez accorder à l'application API Admin. Pour en savoir plus sur les autorisations requises pour les opérations respectives, consultez API Duo Admin.

Configurer l'ingestion des journaux pour Google SecOps

1. Créez un répertoire de déploiement pour stocker les fichiers des fonctions Cloud Run. Ce répertoire contiendra tous les fichiers nécessaires au déploiement.
2. Copiez tous les fichiers du sous-répertoire GitHub de l'activité Duo situé dans le dépôt GitHub Google SecOps vers ce répertoire de déploiement.
3. Copiez le dossier commun et tout son contenu dans le répertoire de déploiement.
4. Modifiez le fichier .env.yml pour ajouter toutes les variables d'environnement requises.
5. Configurez les variables d'environnement marquées comme Secret dans Secret Manager. Pour savoir comment créer des secrets, consultez Créer des secrets et y accéder.
6. Utilisez le nom de ressource du secret comme valeur pour les variables d'environnement.
7. Saisissez la valeur DUO_ACTIVITY dans la variable d'environnement CHRONICLE_NAMESPACE.
8. Dans le champ Code source, sélectionnez Importer un fichier ZIP.
9. Dans le champ Bucket de destination, cliquez sur Parcourir pour sélectionner un bucket Cloud Storage dans lequel importer votre code source lors du déploiement.
10. Dans le champ Fichier ZIP, cliquez sur Parcourir pour sélectionner un fichier ZIP à importer depuis votre système de fichiers local. Vos fichiers source de fonction doivent être situés à la racine du fichier ZIP.
11. Cliquez sur Déployer.

Pour en savoir plus, consultez Utiliser des scripts d'ingestion déployés en tant que fonctions Cloud Run.

Formats de journaux d'activité Duo acceptés

L'analyseur d'activité Duo est compatible avec les journaux au format JSON.

Exemples de journaux d'activité Duo compatibles

1. JSON

     {
       "access_device": {
         "browser": "Chrome",
         "browser_version": "127.0.0.0",
         "ip": {
           "address": "198.51.100.0"
         },
         "location": {
           "city": "Riverside",
           "country": "United States",
           "state": "California"
         },
         "os": "Windows",
         "os_version": "10"
       },
       "action": {
         "details": null,
         "name": "bypass_create"
       },
       "activity_id": "188c068b-1ef4-4c0a-80cc-700ee9a08612",
       "actor": {
         "details": "{\\"created\\": \\"2022-09-15T17: 27: 31.000000+00: 00\\", \\"last_login\\": \\"2024-08-26T22: 48: 50.000000+00: 00\\", \\"email\\": \\"test@gmail.com\\", \\"status\\": null, \\"groups\\": null}",
         "key": "dummyuserid",
         "name": "test",
         "type": "admin"
       },
       "akey": "DA06L58ASEO0DOKNXGXZ",
       "application": null,
       "old_target": null,
       "outcome": null,
       "target": {
         "details": "{\\"bkeys\\": [\\"DB8VPGAF6674GKS43FS9\\"], \\"count\\": 1, \\"valid_secs\\": 3600, \\"remaining_uses\\": 1, \\"auto_generated\\": true}",
         "key": "DU3H7GRU6UIENBKX5HRA",
         "name": "test",
         "type": "user_bypass"
       },
       "ts": "2024-08-26T22:49:21.975784+00:00"
     }
   
   

Référence du mappage de champs

Référence du mappage des champs : identifiant d'événement vers type d'événement

Le tableau suivant liste les types de journaux DUO_ACTIVITY et les types d'événements UDM correspondants.

Documentation de référence sur le mappage des champs : DUO_ACTIVITY

Le tableau suivant liste les champs de journaux du type de journal DUO_ACTIVITY et les champs UDM correspondants.

Étapes suivantes

• Ingestion de données dans Google SecOps

Vous avez encore besoin d'aide ? Obtenez des réponses de membres de la communauté et de professionnels Google SecOps.